*本文由Beosin特邀作者廖望律师、顾劼宁律师共同完成。
为积极呼应 2022 年 10 月的《有关香港虚拟资产发展的政策宣言》，以推动香港发展成为国际虚拟资产中心，香港立法会于 2022 年 12 月 7 日通过了《2022 年打击洗钱及恐怖分子资金筹集条例》的最新修订（《打击洗钱条例》），这意味着香港全新的虚拟资产服务商发牌制度（VASP 制度）将于 2023 年 6 月 1 日起正式实施。
2023 年 2 月 20 日，香港证监会（SFC）发布了《VASP 咨询文件》，并于 5 月 23 日发布了《VASP 咨询总结》，明确《适用于虚拟资产交易平台运营者的指引》（VASP 指引）将于 2023 年 6 月 1 日正式生效。这标志着港府通过半年多的筹划，以对虚拟资产市场的开放态度，积极迎接全新的 VASP 制度，届时：
- 所有在香港经营业务或向香港投资者积极推广其服务的中心化虚拟资产交易所，不论它们有否提供证券型代币交易服务，都必须获 SFC 发牌并受其监管。
- SFC 将于下半年落实允许持牌虚拟资产交易所向零售投资者提供服务的事宜，但只有非证券且在传统金融指数之一中具有高流动性的代币可以向零售投资者提供。
- 对于稳定币，将在 2023/24 年落实稳定币的监管安排，并建立针对稳定币相关的活动持牌、许可制度。在稳定币受到规管前，SFC 认为稳定币不应纳入以供零售买卖。
本文将从 VASP 制度的修订背景，什么是虚拟资产及虚拟资产服务，VASP 牌照的申请要求，交易所的合规要求，双重牌照制度，过渡期安排等方面帮助大家更好地理解即将于 6 月 1 号实施的香港虚拟资产 VASP 发牌制度。
一、VASP 制度的修订背景
SFC 在《VASP 咨询文件》中，对建立全新 VASP 制度的修订背景进行了明确的阐述：在持续的加密寒冬中，崩盘事件接二连三地发生，致使虚拟资产市场的风险加剧，尤其是 FTX 倒闭，令千万投资者承受重大损失。目前虚拟资产市场与传统金融市场日趋紧密而带来的风险，凸显了对虚拟资产行业施行有效监管重要性和必要性。全球主要司法辖区正将监管方针从宽松（即从打击洗钱和支付的角度进行监管）转变为较全面（即从投资者保障角度进行监管）。
SFC 领先于其他司法辖区，早在 2018 年便逐步建立了一套针对证券型代币虚拟资产的“自愿发牌”制度，明确规定 SFC 无权监管仅买卖非证券型虚拟资产或代币的平台。在“自愿发牌”制度下，如果是从事非证券型代币的虚拟资产交易平台，是不需要持牌的。只有两家虚拟资产交易所在“自愿发牌”制度下获得了交易所业务的牌照：BC 科技集团旗下的 OSL Digital Securities Limited 以及 HashKey Group 旗下的 Hash Blockchain Limited 获得 1 号牌（证券交易）和 7 号牌（提供自动化交易服务）。
时至今日，虚拟资产行业已经发生了巨大的转变，原有的“自愿发牌”制度已经不能覆盖如今以零售投资者为主，以非证券型代币为主要交易对象的市场。为了全面监管香港所有的中心化虚拟资产交易平台，并落实金融行动特别工作组（Financial Action Task Force on Money Laundering, FATF）的最新标准，港府通过修订了《打击洗钱条例》，并建立全新的 VASP“强制发牌”制度，以期在投资者保护与市场发展之间达到更适宜的平衡。待 VASP 制度正式实施后，所有在香港经营业务或向香港投资者积极推广其服务的中心化虚拟资产交易所，不论它们有否提供证券型代币交易服务，将需获 SFC 发牌并受其监管。
二、虚拟资产与虚拟资产服务
在 VASP 制度“强制发牌”的背景下，理清什么是虚拟资产，什么是虚拟资产服务至关重要。
2.1 什么是虚拟资产
根据《打击洗钱条例》53 ZRA 及 VASP 指引，虚拟资产（Virtual Asset，VA），被广泛界定为：
符合以下说明的加密保护数字形式的价值表示：
以计算单位或经济价值的储存形式表述；
符合以下其中一项：
A. 作为或拟作为公众接受的交易媒介，用于一个或多于一个以下目的：（I）为货品或服务付款；(II) 清偿债务；(III) 投资；或
B. 提供权利、资格或途径，对以下事宜进行投票：任何加密保护数字形式价值的相关事务的管理、运作或管治，或任何适用于加密保护数字形式价值的安排的条款的改变；
可透过电子方式转移、储存或买卖；及
具备 SFC 不时于宪报刊登公告订明的其他特征；
根据香港财经事务及库务局以宪报刊登公告的形式订明为虚拟资产的数字形式价值表示。
任何证券型代币，指构成《证券及期货条例》附表 1 第 1 部第 1 条所界定的“证券”的加密保护数码形式价值。
根据《打击洗钱条例》53 ZRA，以下项目被排除在 VA 的定义之外：
由中央银行、执行中央银行职能的实体发行，或由中央银行授权的实体代中央银行发行的数字货币（CBDC）；
有限用途数字代币（在性质上不可转让、不可交换且不可替代，例如礼品卡、客户忠诚度奖励计划和电子支付服务）；
储值支付工具（受《支付系统及储值支付工具条例》规管）；
证券或期货合约（受《证券及期货条例》监管）。
《打击洗钱条例》关于 VA 的定义将涵盖市场上大部分的虚拟货币，包括 BTC、ETH、稳定币（Stablecoin）、实用型代币（Utility Token）和治理代币（Governance Token）等。对于稳定币，SFC 在《咨询总结》中也明确表示：香港金管局已于 2023 年 1 月发布了《加密资产和稳定币讨论文件的咨询总结》，表示将在 2023/24 年落实稳定币的监管安排，将建立针对稳定币相关的活动持牌、许可制度。在稳定币受到规管前，SFC 认为稳定币不应纳入以供零售买卖。
NFT 的属性与其背后的资产属性挂钩，目前暂未看到 VASP 制度下的明确定义。SFC 在 2022 年 6 月 6 日发布提醒投资者注意 NFT 风险时，就表示如果 NFT 是收藏品（艺术品、音乐或影片）的真实数字表示，与其相关的活动不属于 SFC 的监管范围。然而有些 NFT 跨越了收藏品与金融资产之间的界限，可能具有《证券及期货条例》监管的“证券”的属性，因此将受到监管。
2.2 什么是虚拟资产服务
根据《打击洗钱条例》附表 3 B 及 VASP 指引，虚拟资产服务（VA Service）有关活动被定义为：经营虚拟资产交易所，即：
透过电子设施方式，提供符合以下说明的服务：
该项服务：
A. 买卖虚拟资产的要约，经常以某种方式被提出或接受，而以该种方式提出或接受该等要约，形成具约束力的交易，或导致具约束力的交易产生；或
B. 人与人之间经常互相介绍或辨识，以期洽商或完成虚拟资产的买卖，或经常在有他们将会以某种方式洽商或完成虚拟资产的买卖的合理期望的情况下互相介绍或辨识，而以该种方式洽商或完成该等买卖，形成具约束力的交易，或导致具约束力的交易产生；及
在该项服务中，客户款项或客户虚拟资产由提供该项服务的人直接或间接管有；及
平台运营者向其客户提供的任何在平台以外进行的虚拟资产交易活动和附带服务，及就在平台以外进行的虚拟资产交易活动而作出的任何活动。
因此，对于（1）在香港运营的中心化虚拟资产交易所，和（2）向香港投资者积极推广其服务的离岸运营的中心化虚拟资产交易所，如从事上述相关活动，均属于虚拟资产服务的范畴。根据《打击洗钱条例》53 ZRD，任何经营虚拟资产服务的主体都必须获得 SFC 的 VASP 牌照。
目前，除上述虚拟资产服务外，其他业务如做市商、自营交易、期货合约及衍生品等均不得开展，但不排除后续香港财经事务及库务局会通过以宪报刊登公告的形式纳入其他虚拟资产服务。
三、VASP 牌照申请
在全新的 VASP 制度下，由 SFC 根据《打击洗钱条例》和 VASP 指引向申请人进行发牌和监管。申请 VASP 牌照对公司及其人员有非常高的要求：
A. 公司：1. 有在香港成立的公司，且有固定的办公地点；2. 需要设有不低于 500 万港元的注册资本，流动资金需达到 300 万港元以上；3. 子公司或关联公司须具有香港信托 TCSP 牌照，用于虚拟资产托管。
B. 人员：1. VASP 的申请人、负责人员、持牌代表、董事及最终拥有人须符合 SFC 的适当人选测试；2. 至少必须任命 2 名有虚拟资产服务经验的负责人员（RO），同时须满足以下条件：至少一名 RO 必须是 VASP 的执行董事、至少一名 RO 常居于香港、必须始终至少有一名 RO 监督业务；3. 至少一位 RO 持牌代表；4. 需要有虚拟资产业务经验的审计师。
C. 合规要求：除满足公司资质、公司人员要求外，同时还需要满足虚拟资产交易业务展业评估报告、AML/CTF、客户资产管理等一系列合规制度。根据 VASP 指引细则，这些申请的细节要求还包括：适当人选的规定、胜任能力的规定、持续培训的规定、业务操守原则、财务稳健性、虚拟资产在平台的运营、预防市场操纵及违规活动、与客户进行交易、保护客户资产、管理、监督及内部控制、网络安全、避免利益冲突、保存记录、核数师审计、持续汇报及通知责任等。
四、交易所的合规要求
根据 VASP 指引，以及中心化虚拟资产交易所在运营时需要满足以下合规要求：
A. 稳妥保管客户资产
平台营运者应透过一家全资拥有的附属公司（即“有联系实体”）以信托方式（TCSP 信托牌照）持有客户款项及客户虚拟资产。平台营运者应确保储存在线上钱包内的客户虚拟资产不多于 2%。
此外，由于存取虚拟资产需透过利用私人密钥方能进行，故保管虚拟资产基本上讲求的是稳妥管理有关私人密钥。平台营运者应在私人密钥管理方面设立并实施书面内部政策及管治程序，藉以确保安全地产生、储存及备份所有加密种子及密钥。
另外，平台营运者不应存入、转移、借出、质押、再质押或以其他方式买卖客户虚拟资产，或就客户虚拟资产产生任何产权负担。其亦须备有保险，而其保障范围应涵盖保管客户虚拟资产所涉及的风险。
B. 认识你的客户（KYC）
平台营运者应采取一切合理步骤，以确立其每位客户的真实和全部身份、财政状况、投资经验及投资目标。另外，平台营运者在向客户提供任何服务前，须确保客户对虚拟资产有充分认识（包括对所涉及的风险有所认识）。
C. 打击洗钱/恐怖分子资金筹集
平台营运者应设立和实施充分及适当的打击洗钱/恐怖分子资金筹集政策、程序和监控措施。平台营运者可运用虚拟资产追踪工具追索特定虚拟资产在区块链上的记录。
D. 预防利益冲突
平台营运者不应从事自营交易或自营的庄家活动，并且应设有用来管理内部员工就虚拟资产进行交易的政策，以消除、避免、管理或披露实际或潜在利益冲突。
E. 纳入虚拟资产以供买卖
平台营运者应设立一项职能，负责订立、实施及执行有关纳入虚拟资产的准则，有关中止、暂停及撤销虚拟资产买卖的准则，连同客户可行使的选择权。
此外，平台营运者在纳入任何虚拟资产以供买卖之前，应先对该等虚拟资产进行合理的尽职审查，及确保该等虚拟资产继续符合所有准则。
F. 预防市场操纵及违规活动
平台营运者应订立和实施书面政策及监控措施，以识别、预防及汇报在其平台上出现的任何市场操纵或违规交易活动。有关监控措施应包括在发现操纵或违规活动后限制或暂停买卖。平台营运者应采用由信誉良好的独立供应商所提供的有效市场监察系统，以识别、监察、侦测及预防该等操纵或违规交易活动，并向 SFC 提供这个系统的接达权。
G. 会计及审计
平台营运者须以适当的技能、小心审慎和勤勉尽责的态度拣选核数师，并考虑他们为虚拟资产相关业务和平台营运者进行审计的经验、往绩纪录及能力。此外，平台营运者应该在每个财政年度呈交核数师报告，当中应载有一项就有否出现违反适用监管规定的情况而作出的声明。此外，SFC 还要求平台营运者应在每个历月结束后两个星期内及在 SFC 提出要求时，就其业务活动每月向 SFC 提供报告。
H. 风险管理
平台营运者应设立稳健的风险管理框架，使它们能够识别、衡量、监察及管理因其业务及运作而引致的所有风险。平台营运者亦应要求客户预先将资金注入其账户内，并且不得向客户提供任何财务融通以购买虚拟资产。
五、双重牌照制度
根据不同的监管授权，SFC 将根据《证券及期货条例》，对虚拟资产交易所进行的证券型代币交易作出监管（1 号牌 + 7 号牌）；同时亦会根据《打击洗钱条例》，对虚拟资产交易所进行的非证券型代币交易作出监管（VASP 牌照）。
考虑到虚拟资产的性质可能随时间而演变，如从非证券型代币转变为证券型代币，为避免违反任何发牌制度的规定的行为，虚拟资产交易所应同时根据《证券及期货条例》及《打击洗钱条例》向 SFC 获取双重发牌及核准（即同时申请 VASP 牌照及 1 号牌，7 号牌）。
为简化双重牌照的申请程序，申请人如要同时根据《证券及期货条例》下的现行制度及《打击洗钱条例》下的虚拟资产服务提供者制度申领牌照，只需在网上提交一份综合申请表格，并注明同时申领该两项牌照即可。
SFC 预期，获双重发牌的平台营运者只需作出呈报一次，便足以符合《证券及期货条例》下的现行制度及《打击洗钱条例》下的虚拟资产服务提供者制度的发牌或通知规定。
六、过渡期安排
《打击洗钱条例》对于“原有虚拟资产交易所”提供过渡安排，规定 2024 年 6 月 1 日前为过渡期。针对 2023 年 6 月 1 日前已于香港营运并设具有意义且实质的业务的交易所，包括（1）在《证券及期货条例》项下已有或正在申请牌照的交易所，亦包括（2）在《证券及期货条例》项下就非证券代币开展业务的无牌交易所，方合资格参与过渡安排。
符合资格参与过渡安排的交易所必须符合《打击洗钱条例》附表 3 G 所载列条件，才可于 2023 年 6 月 1 日至 2024 年 5 月 31 日内继续在香港营业，并将由 2024 年 6 月 1 日起受限于 VASP 的发牌制度。
如果该经营者在 2023 年 6 月 1 日后的 9 个月内向 SFC 提出申请，并确认其将遵守 SFC 制定的监管规定，则该经营者可被视为已获发牌直至 SFC 就其牌照申请作出决定，在此期间将能够继续提供服务，直到（i）第一个 12 个月结束，(ii）撤回申请，(iii） SFC 拒绝申请，以及（iv） SFC 授予牌照，以较早者为准。
如果其虚拟资产服务商牌照申请被 SFC 拒绝，则必须在收到拒绝通知后的 3 个月内或 2024 年 6 月 1 日前（以较晚者为准）终止其虚拟资产服务之业务。在此期间，经营者只可采取纯粹为关闭其服务而作出的行动。经营者可向 SFC 申请延长关闭期，延长期为 SFC 在考虑到经营者的业务和活动的情况下认为适当的期限。
对于“非原有虚拟资产交易所”，且计划在 2023 年 6 月 1 日后在香港提供虚拟资产服务的，必须事先向 SFC 申请并获发 VASP 牌照。
七、“监管套利”渐行渐远
根据《打击洗钱条例》，将对违法行为和不合规行为采取相关制裁措施，其中包括在未获得许可的情况下提供虚拟资产服务，以及不符合 AML/CTF 要求。此外，任何向香港公众主动推销服务的行为都将被视为提供虚拟资产服务，无论服务提供地点或服务提供方是否在香港。
2023 年 6 月 1 日之后，在没有 VASP 牌照的情况下经营提供虚拟资产服务属于犯罪行为。若经循公诉程序定罪，可处罚款 500 万港元及 7 年监禁，如属持续的罪行，则可就罪行持续期间的每一日，另处罚款 10 万港元。若经循简易程序定罪，可处罚款 500 万港元及 2 年监禁，如属持续的罪行，则可就罪行持续期间的每一日，另处罚款 1 万港元。
如不遵守法定的 AML/CTF 规定，持牌服务商及其负责人员即属犯罪，一经公诉罪名成立，每人可处罚款 100 万港元及 2 年监禁。除刑事责任之外，他们还会受到 SFC 的纪律处分，包括暂停或撤销牌照、谴责、责令采取补救行动及罚款。
除此之外，虚拟资产交易所运营过程中的各种“失当行为”还可能面临来自 SFC 的纪律处分罚款。
相较于其他法域，尤其是东亚其他地区，香港之前对虚拟资产交易的监管环境可以说是非常宽松的。所以才会有大大小小、不计其数将总部或运营中心放在香港。然而，随着“VASP 加密新政”的出台，香港与“监管套利”渐行渐远。
八、结语
VASP 制度即将实施，无论是以下哪种情况：（1）已经在香港运营的虚拟资产交易所；（2）向香港投资者积极推广其服务的离岸运营的虚拟资产交易所；（3）拟在香港运营虚拟资产交易所；还是（4）传统金融机构拟涉猎虚拟资产交易所，VASP 牌照申请人都应提前为业务合规性及相关牌照申请做好准备。
VASP制度通过持牌交易所“引水入渠”是港府正在做的事情，在这个背景下 KYC 以及反洗钱合规是重中之重。在第一步“引水入渠”之后，关于开放零售投资者的投资以及如何保护投资者的问题，我们将会在下半年看到一系列细则规定出台。欲戴王冠，必承其重，只有在满足监管要求的基础上，交易所们才能在参与这块巨大蛋糕的分配，才能推动市场的长远发展。
我们可以预见到“东升西落”已成必然。在 FTX 陨落及美国监管收紧、政治博弈的情况下，香港依托其自身传统金融的基础和完善的法治体系，以及前店后厂背靠大陆的夯实资源，必将重拾曾经“加密中心”的辉煌。
Beosin作为一家全球领先的区块链安全公司，在全球10多个国家和地区设立了分部，业务涵盖项目上线前的智能合约安全审计、项目运行时的安全风险监控、预警与阻断、安全合规KYT/AML等“一站式”区块链安全产品+服务，目前已为全球3,000多个区块链企业提供安全技术服务，审计智能合约超过3,000份。Beosin也提供上币项目的安全评估以及提供符合各地监管要求的合规评估、VaaS自动化上币审计服务、交易所渗透服务、交易所安全建设咨询服务等安全解决方案。欢迎点击公众号留言框，与我们联系。
本文特邀作者介绍：
廖望，北京德恒（杭州）律师事务所律师，liaowang@dehenglaw.com，公众号：Web3小律
顾劼宁，上海曼昆律师事务所资深法律顾问，gujiening@mankunlaw.com，公众号：曼昆区块链
参考资料：
https://www.elegislation.gov.hk/hk/cap571!zh-Hant-HK
https://www.sfc.hk/TC/Regulatory-functions/Intermediaries/Licensing/Do-you-need-a-licence-or-registration
https://apps.sfc.hk/edistributionWeb/API/consultation/openFile?lang=TC&refNo=23CP1
https://apps.sfc.hk/publicreg/Terms-and-Conditions-for-VATP_10Dec20.PDF
https://www.hkex.com.hk/-/media/HKEX-Market/News/Research-Reports/HKEx-Research-Papers/2023/CCEO_CryptoETF_202304_c.PDF
https://apps.sfc.hk/edistributionWeb/gateway/TC/news-and-announcements/news/doc?refNo=23PR53
